LINHAS DE ORIENTAÇÃO PARA A GESTÃO DO RISCO

LINHAS DE ORIENTAÇÃO PARA A GESTÃO DO RISCO 1

Ficha técnica Título: Linhas de Orientação para a Gestão do Janeiro 2013 Edição: Gabinete de Avaliação e Auditoria Camões, Instituto da Cooperação e da Língua Ministério dos Negócios Estrangeiros Contacto: Av. da Liberdade, 270, 1250-149 Lisboa Tel. (351) 21 310 91 00 Website: www.instituto-camoes.pt/ Página 2 de 29

Índice 1. Introdução... 4 2. Conceitos... 5 3. Processo de Gestão do... 7 4. Tipos de... 8 5. Plano de Gestão do... 9 6. Comissão do... 9 7. Anexos... 9 Página 3 de 29

1. Introdução Gerir uma organização exige conhecimentos, habilidades, competências, visão estratégica e, principalmente, métodos que possibilitem um suporte ao processo de tomada de decisão. As organizações têm que aperfeiçoar os seus métodos de gestão, que se modernizar e racionalizar, que procurar ganhos de produtividade. A auditoria pode constituir um importante instrumento ao serviço da gestão para a prossecução desses objetivos. Neste contexto, a gestão do risco é desenvolvida com o objetivo de criar valor, através da gestão e controlo das incertezas e ameaças que podem afetar os objetivos da organização, numa perspetiva de continuidade da atividade. Como abordagem estruturada e disciplinada que alinha estratégia, processos, tecnologias e conhecimento, a gestão do risco deverá estar integrada em todo o processo de planeamento. O seu objetivo é identificar, avaliar e gerir as incertezas e ameaças que a organização enfrenta na prossecução dos seus objetivos. A auditoria baseada no risco é considerada mais eficiente e eficaz porque se avaliam as áreas de maior risco, em vez de uma análise exclusiva à área financeira que pode não representar um risco elevado. Uma das formas de conduzir sistematicamente a actividade de auditoria interna baseada no risco é utilizar a gestão do risco. A filosofia subjacente a esta gestão é proactiva, o que implica que a auditoria interna deve emitir opinião sobre a razoabilidade de concretização de determinados objetivos e não auditar exclusivamente atuações passadas. Assim, o propósito da auditoria interna é confirmar que os riscos se encontram razoavelmente identificados, avaliados e controlados. Auditam-se as variáveis-chave da atividade da organização. A definição de objetivos é condição sine qua non para uma boa gestão do risco. Têm que ser definidos antes de a gestão poder identificar os riscos que podem vir a ocorrer na sua concretização. Por esta razão, o conhecimento desses objetivos é um fator crítico de sucesso da gestão do risco. A auditoria interna não deve ser a responsável pela gestão do risco da organização, podendo e devendo dinamizar a sua preparação (identificação, avaliação e resposta aos riscos) e participar na sua implementação. Deve assumir prioritariamente um papel de garantia à gestão que os riscos estão controlados. Página 4 de 29

É inegável que, ao adotar uma política de gestão do risco, a organização torna-se mais racional e produtiva. Neste contexto, a auditoria interna centra a sua atenção na redução dos riscos de gestão, de forma a contribuir para a consecução dos objetivos e metas da organização. O atual enfoque da auditoria interna baseada no risco reside na análise estratégica e na avaliação dos processos organizacionais como passo prévio ao trabalho que tradicionalmente se leva a cabo no Gabinete de Auditoria. 2. Conceitos O risco pode ser definido como um acontecimento que, podendo ocorrer, terá um impacto negativo na concretização da missão e dos objetivos da organização. As oportunidades perdidas podem também ser consideradas como um risco. Segundo o COSO (Committee of Sponsoring Organizations), a gestão do risco é Um processo desenvolvido pela administração, gestão e outras pessoas, aplicado na definição estratégica ao longo da organização, desenhado para identificar potenciais eventos que podem afetar a entidade, e gerir os riscos para níveis aceitáveis, fornecendo uma garantia razoável de que os objetivos da organização serão alcançados. E, ainda, segundo o IIA (Institute of Internal Auditors), O principal papel da auditoria interna no processo de gestão do risco é fornecer segurança objetiva acerca da eficácia das atividades de gestão do risco das organizações, contribuir para assegurar que os principais riscos da atividade estão a ser geridos de forma apropriada e que os sistemas de controlo interno estão a funcionar eficazmente. É fundamental não confundir problemas com riscos. Uma abordagem estratégica da gestão do risco implica a definição a priori dos objetivos estratégicos e operacionais globais da organização. Assim, não é possível ter uma gestão do risco eficaz sem a definição clara e atempada desses objetivos. Neste sentido, o Quadro de Avaliação e Responsabilização do Camões, IP, (QUAR), que define os objetivos estratégicos e operacionais do Instituto é o documento fundamental de partida para se iniciar o processo de gestão do risco. Página 5 de 29

A gestão do risco implica: 1. A identificação dos riscos, relacionados com os: Objetivos da organização; Fatores externos à organização; Fatores internos ao nível dos processos e atividades. 2. A avaliação dos riscos que deve estimar: O nível de risco; O impacto e a probabilidade de ocorrência desses riscos. Esta avaliação consiste no processo de identificação e análise dos riscos mais relevantes na concretização dos objetivos da organização e na determinação da resposta adequada a cada um deles. A avaliação do risco pode ser realizada através de duas abordagens: Abordagem top-down: é constituído um grupo de trabalho que se debruça sobre todas as operações e atividades da organização relacionando-as com os seus objetivos, identificando os riscos. Este grupo realiza uma série de entrevistas a pessoas chave em todos os níveis da organização para construir um perfil do risco para o conjunto das atividades e funções que estão particularmente vulneráveis ao risco. Abordagem bottom-up: cada unidade orgânica é instada a rever as suas atividades, fazendo o respetivo diagnóstico no sentido de comunicar superiormente os riscos identificados nessa revisão. Este trabalho deve ser feito a partir da realização de questionários ou a partir de um workshop. Estas duas abordagens não se excluem mutuamente. É desejável a sua utilização combinada para facilitar a identificação, tanto dos riscos globais da organização como dos riscos ao nível das atividades. A identificação e avaliação do risco são essenciais para delinear uma resposta consistente. 3. Desenvolvimento de respostas: Transferência do risco o risco pode ser transferido ou partilhado com outra entidade; Tolerância aceitável aceitar o risco sem intervenção; Página 6 de 29

Eliminação do risco não é possível nem desejável eliminar completamente o risco. No limite, só eliminando a atividade em causa. O controlo interno pode, no máximo, dar uma garantia razoável de que o risco está controlado; Tratar o risco tomar medidas concretas para reduzir a sua probabilidade e o seu impacto. A gestão do risco engloba todos os domínios de atividade da organização, nomeadamente: Tomada de decisão estratégica; Planeamento de atividades; Eficácia operacional; Eficiência; Proteção de bens e informação; Continuidade das atividades; Gestão do pessoal; Comunicação interna e externa. Assim, para ser efetiva, a gestão do risco, desde a sua preparação, implementação até ao acompanhamento, deve estar integrada no ciclo de planeamento e programação da organização, tendo subjacente o Quadro de Avaliação e Responsabilização do Instituto. 3. Processo de Gestão do O processo de gestão do risco é apoiado por uma metodologia sistemática e compreende nomeadamente as seguintes fases: No âmbito do planeamento estratégico, são identificados e avaliados os riscos das atividades existentes, do desenvolvimento de novas atividades e dos projetos mais relevantes, bem como definidas as estratégias de gestão desses riscos; No plano operacional, são identificados e avaliados os riscos de gestão dos objetivos das atividades e planeadas ações de gestão desses riscos, as quais são incluídas e monitorizadas no âmbito dos planos das unidades orgânicas; Nos riscos de natureza mais horizontal, nomeadamente em grandes projetos de mudança, são desenvolvidos programas estruturados de gestão do risco com a participação dos responsáveis das unidades envolvidas; Página 7 de 29

Nos riscos de segurança dos ativos tangíveis, são realizadas auditorias às unidades principais e implementadas ações preventivas e corretivas dos riscos identificados; Nos riscos financeiros a sua gestão é efetuada e monitorizada no âmbito da função financeira. Os auditores devem planear e realizar auditorias baseadas no risco e para isso devem compreender a organização em que estão inseridos, o seu enquadramento e especificidades. Devem ainda conhecer os fatores externos que afetam, ou podem vir a afetar, o funcionamento da organização. O conhecimento do negócio é fundamental para uma gestão do risco eficaz e de qualidade. É necessário conhecer a fundo os processos e atividades de cada área da organização para se poder fazer uma rigorosa avaliação do risco. Neste sentido, a colaboração entre os restantes serviços da organização e o serviço de auditoria interna é fundamental para uma boa gestão do risco. A auditoria deve preocupar-se, fundamentalmente, com o futuro. Deve rever as técnicas, ferramentas e metodologias de trabalho, conhecer e compreender os objetivos, as estratégias e as políticas definidas. Deve conhecer o funcionamento dos serviços, os processos, os pontos fortes e debilidades das atividades. 4. Tipos de Tendo em conta a diversidade de operações e atividades da organização, são vários os tipos de riscos, tanto ao nível externo como interno. Por esta razão, a preparação de uma tipologia de riscos o mais abrangente possível é fundamental para facilitar a sua identificação e avaliação. Neste sentido, foi identificada a seguinte tipologia de riscos: 1. Ambiente externo; 2. Planeamento, processos e sistemas; 3. Pessoas e organização em geral; 4. Legalidade e conformidade; 5. Comunicação e informação. Página 8 de 29

5. Plano de Gestão do O Plano de Gestão do é o culminar do processo de gestão do risco. É elaborado tendo por base um processo participativo que deve envolver todos funcionários. Nele são identificados os riscos, os recursos, ações e responsabilidades para os mitigar, bem como o processo de implementação, acompanhamento, avaliação e reporte do Plano. 6. Comissão do A Comissão do tem por função supervisionar o sistema de gestão do risco do Camões, IP. É responsável por acordar os fatores críticos do risco que podem afetar o negócio do Instituto e atribuir a responsabilidade pela apresentação de uma análise e avaliação do risco à UO relevante nesta matéria, o GAA. É igualmente responsável por assegurar que os riscos são devidamente identificados por todos os trabalhadores do Camões, IP, e que todos os pontos de vista são tidos em consideração nessa identificação. A Comissão do deve pronunciar-se sobre o relatório de acompanhamento da implementação do Plano de Gestão do, elaborado pelo GAA, e propor a sua aprovação superior. Deve, igualmente, apreciar a adequação do modelo de gestão do risco e do respetivo Plano em execução, tendo subjacentes os contextos interno e externo do Camões, IP, propondo alterações quando considerar necessário. A Comissão do é nomeada pelo Conselho Diretivo do Camões, IP, devendo incluir os Diretores de Serviço e os Chefes de Divisão dos Gabinetes e o Fiscal Único, como observador. Deve reunir numa base trimestral, de forma a garantir que os fatores críticos de risco são revistos trimestralmente. 7. Anexos Para pôr em prática o processo de identificação e avaliação dos riscos, anexam-se os documentos básicos de trabalho: Página 9 de 29

I. Modelo de questionário O principal objetivo deste questionário é apoiar as chefias e trabalhadores da organização na identificação dos principais riscos associados às atividades de cada UO. Deve ser preenchido por todos os trabalhadores de cada UO. Unidade Orgânica Nome Data Atividade Lista das atividades da sua unidade orgânica a utilizar como base para a identificação do risco 10

II. Matrizes do 1. RISCOS RELACIONADOS COM O AMBIENTE EXTERNO 1.1. Ambiente Macro: Identificar questões problemáticas relacionadas com o contexto geopolítico, macroeconómico ou social em que o Camões, IP, desenvolve a sua atividade e ainda riscos relacionados com o ambiente natural que possam ter impacto na sua atividade. Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 1.1.1. 1.1.2. 1.1.3. Página 11 de 29

1.2. Decisões políticas e prioridades exteriores ao Camões, IP: Algumas das suas atividades dependem de decisões políticas e prioridades exteriores ao Instituto. Neste contexto identificar situações que possam afetar o alcançar dos seus objetivos. Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 1.2.1. 1.2.2. 1.2.3. Página 12 de 29

1.3. Parceiros externos: A atividade do Camões, IP, depende de parceiros externos para a implementação dos seus programas e para a concretização dos seus objetivos/metas. Identificar questões relacionadas com parceiros externos ou serviços externos contratualizados pelo Camões, IP, e a forma como esta situação pode afetar as suas atividades/objetivos. Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 1.3.1. 1.3.2. 1.3.3. Página 13 de 29

2. RISCOS RELACIONADOS COM O PLANEAMENTO, PROCESSOS E SISTEMAS 2.1. Estratégia, planeamento e política: Identificar qualquer potencial problema ou questão em relação à estratégia e planeamento anual que possa afetar as atividades e o alcançar dos objetivos. Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 2.1.1. Atividade afectada: 2.1.2. 2.1.3. Página 14 de 29

2.2. Processo operacional: Quais são os processos e procedimentos operacionais de que depende o Camões, IP?. Existe algum problema ou questão potencial com ele relacionado que possa afetar as suas atividades/objetivos? Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 2.2.1. 2.2.2. 2.2.3. Página 15 de 29

2.3. Alocação do orçamento, processos de aquisição e financeiros: Consegue identificar qualquer tipo de problema ou questão potencial relacionado com a alocação orçamental, processos de aquisição e financeiros que possam afetar os seus objetivos? Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 2.3.1. 2.3.2. 2.3.3. Página 16 de 29

2.4. Sistemas de TI e de apoio: Quais são os sistemas de TI de que depende o Camões, IP? Existe qualquer tipo de problema ou questão potencial com eles relacionados que possam afetar as suas atividades/objetivos? Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 2.4.1. 2.4.2. 2.4.3. Página 17 de 29

3. RISCOS RELACIONADOS COM AS PESSOAS E A ORGANIZAÇÃO 3.1. Recursos Humanos: Existe algum tipo de problema ou questão potencial relacionados com os recursos humanos no Camões, IP, que possam afetar as suas atividades/objetivos? Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 3.1.1. 3.1.2. 3.1.3. Página 18 de 29

3.2. Ética e comportamento organizacional: Identificar qualquer situação que possa afetar a ética ou comportamento organizacional que afete o Camões, IP, e, indiretamente, as suas atividades/objetivos Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 3.2.1. 3.2.2. 3.2.3. Página 19 de 29

3.3. Organização interna: Identificar algum tipo de questão potencial relacionado com a organização interna do Camões, IP, que possa afetar as suas atividades Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 3.3.1. 3.3.2. 3.2.3. Página 20 de 29

3.4. Segurança das pessoas, edifícios e equipamentos: Identificar qualquer tipo de problema ou questão potencial relacionado com a segurança das pessoas, edifícios e equipamentos que possa afetar as suas atividades. Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 3.4.1. 3.4.2. 3.4.3. Página 21 de 29

4. RISCOS RELACIONADOS COM A LEGALIDADE E REGULAMENTOS 4.1. Legalidade e regularidade: No contexto das regras e regulamentos mais importantes relacionados com as atividades/objetivos do Camões, IP, identificar qualquer problema ou questão potencial que tenha impacto no alcançar dos seus objetivos. Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 4.1.1. 4.1.2. 4.1.3. Página 22 de 29

4.2. Outros: Identificar qualquer questão potencial relacionada com a conformidade com as regras e regulamentos aplicáveis à atividade do Camões, IP. Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 4.2.1. 4.2.2. 4.2.3. Página 23 de 29

5. RISCOS RELACIONADOS COM A COMUNICAÇÃO E A INFORMAÇÃO 5.1. Métodos e canais de comunicação interna: Os métodos e canais de comunicação que envolvem as unidades orgânicas do Camões, IP, são eficazes ou existe qualquer tipo de problema ou questão potencial neste domínio que possa afetar as suas atividades ou a concretização dos seus objetivos? Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 5.1.1. 5.1.2. 5.1.3. Página 24 de 29

5.2. Métodos e canais de comunicação com o exterior: Os métodos e canais de comunicação que envolvem as unidades orgânicas do Camões, IP, com o exterior são eficazes ou existe qualquer tipo de problema ou questão potencial neste domínio que possa afetar as suas atividades ou a concretização dos seus objetivos? Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 5.2.1. 5.2.2. 5.2.3. Página 25 de 29

5.3. Qualidade e oportunidade da informação: Qual é a informação de que necessita para desempenhar as suas atividades e alcançar os seus objetivos? A informação é, de forma geral, fiável e disponível e/ou consegue identificar qualquer problema ou questão potencial nesta área? Descrição do risco (identificando a causa do risco e as consequências potenciais) Nível do 5.3.1. 5.3.2. 5.3.3. Página 26 de 29

III. Nível do Os riscos identificados foram analisados em termos da sua probabilidade de ocorrência e do seu impacto na concretização dos objetivos do Camões, IP. A probabilidade e o impacto foram classificados como Alto, Médio ou Baixo. O nível do risco foi avaliado com base no cruzamento da sua probabilidade e impacto, como consta na matriz de nível de risco infra. Assim, o nível do risco pode ser classificado como: Reduzido, Moderado, Elevado ou Extremo. Por exemplo, para um risco identificado para uma determinada atividade do Camões, IP, cuja probabilidade de ocorrência tenha sido classificada como alta e o impacto do risco como médio, o nível risco será elevado. Alta Moderado Elevado Extremo Média Reduzido Moderado Elevado Baixa Reduzido Reduzido Moderado Baixo Médio Alto 27

IV. Glossário de termos relacionados com a Gestão do Aceitação do risco Uma decisão informada para aceitar a(s) consequência(s), a probabilidade de um risco particular. Análise do risco É a análise genérica dos riscos que envolvem a atividade e operações de uma organização, da sua magnitude e da melhor forma de os gerir. Esta análise pode ser realizada em qualquer fase de uma atividade ou operação. Cada análise tem como ponto de partida os resultados obtidos em análises anteriores. Deve ser sempre precedida pela elaboração de um Plano de Análise do. Esta análise deve proporcionar toda a informação necessária à criação/inclusão de registo do risco, concepção de uma estratégia para mitigar os riscos e um plano de resposta a esses riscos. Os resultados desta análise devem ser sempre apresentados sob a forma de um relatório de análise do risco. Apreciação do risco É o processo através do qual é possível não só identificar os riscos relevantes para a concretização dos objetivos da organização como analisá-los e determinar qual a resposta adequada para reduzir esses riscos. Avaliação do risco Consiste no processo de identificação e análise dos eventos que possam vir a ter uma influência negativa na concretização dos objetivos organizacionais. Pretende-se estimar o impacto que esses riscos podem ter na organização, assim como a probabilidade de virem a ocorrer. Uma vez identificados, os riscos são quantificados e é preparada a resposta mais apropriada para reduzir o seu impacto e a sua probabilidade de ocorrência. Detentores de interesse Pessoas ou organizações que podem afetar, ser afetado por, ou se percebe serem afetados por uma decisão ou atividade. Pode incluir partes interessadas, como intervenientes, quer internas ou externas. Gestão de risco Processo sistemático de identificação, avaliação, gestão e controlo de potenciais acontecimentos ou situações que possam afetar a concretização dos objetivos da organização, procurando proporcionar uma garantia razoável de que esses objetivos serão atingidos e, em seguida, lidar com o risco de uma forma que gere eficazmente as potenciais oportunidades e efeitos adversos. O processo implica a consideração do contexto, seguida pela identificação, análise, avaliação e tratamento de riscos. É um processo interativo que envolve também o acompanhamento e a análise, e pode ser útil incluir um diálogo com os interessados ao longo do caminho. Página 28 de 29

Identificação dos riscos O processo de determinar o que pode acontecer, como pode ocorrer, e por que é um risco. Prevenção do risco Uma decisão informada para não se envolverem em uma situação de risco. Resposta ao risco Forma como a organização opta por gerir os riscos organizacionais. Existem vários tipos de resposta ao risco como, por exemplo, tolerar o risco, tratá-lo, procurando reduzir o seu impacto ou probabilidade, transferir o risco ou terminar a atividade que o origina. Os controlos internos são uma das formas de tratar o risco. A probabilidade que um acontecimento tem de ocorrer, com o impacto negativo que poderá ter ao nível do alcançar dos objetivos organizacionais. Por este motivo, o risco é medido a dois níveis: o do seu impacto nas atividades e o da sua probabilidade de vir a ocorrer. Tolerância ao risco Nível de risco que a organização está disposta a aceitar antes de considerar implementar medidas ou ações para lidar com ele. Transferência do risco Mudar algumas ou todas as responsabilidades para o tratamento de risco, e os encargos por qualquer perda, a outra parte. No Camões, I.P, esta atribuição muitas vezes pode ocorrer através da contratação ou outros acordos com a outra parte. Página 29 de 29